令和５年度医療情報セキュリティ研修 及びサイバーセキュリティインシデント発生時初動対応支援・調査等事業【はじめに】

今年度のシステム・セキュリティ
管理者向け研修について

1

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

今年度の研修の構成※内容は変更する場合がございます。

開催回

カテゴリ

概要

講師

第１回

オリエン

IT環境における組織の管理

萩原 健太

ID管理やアクセス制御→ITガバナンスと組織管理

第２回
第３回

基礎

脅威や脆弱性→アクセス制御とセキュリティ対策

第４回

効果的なセキュリティの実現

第５回

Windows標準機能の活用→大阪急性期・総合医療センターでの復旧対応

第６回

脆弱な機器の守り方→脆弱な医療機器、サポート切れOSの保護方法について

第７回

実践

インターバルリンク（株）、(一社)ソフトウェア協会

村澤 直毅
後藤 昌宏
日本マイクロソフト(株)萩原 健太
インターバルリンク（株）、(一社)ソフトウェア協会

板東 直樹
アップデートテクノロジー(株)、(一社)ソフトウェア協会

インシデントに備える体制の構築

2

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

【第6回】システム・セキュリティ管理者向け研修
脆弱な医療機器、サポート切れ OS の保護方法について
2023年12月7日
一般社団法人ソフトウェア協会
板東 直樹
アップデートテクノロジー(株)3

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

本講座の目的
本講座では、組織管理のために一般的な管理の基本的な考え方について理解していただき、システム管理責任者もしくはセキュリティ責任者として、ITベンダーと十分なコミュニケーションができる知識とスキルを身につけていただきます。
ITベンダーと協力しながら、現場でのさまざまな課題を解決することで、円滑なIT運用を行うことを目的としています。

4

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

参照すべき資料
厚生労働省
医療情報システムの安全管理に関するガイドライン
医療機関におけるサイバーセキュリティ対策チェックリスト
医療機関におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・事業者向け～
医療機関における医療機器のサイバーセキュリティ確保のための手引書

経済産業省
医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン

つるぎ町立半田病院
コンピュータウイルス感染事案有識者会議調査報告書

大阪急性期・総合医療センター
情報セキュリティインシデント調査委員会報告書

5

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

第6回のアジェンダ
プログラムの不具合に起因する脆弱性への対策
設定ミスや後方互換性に起因する脆弱性対策
脆弱な医療機器、サポート切れ OS の保護方法
弱いパスワードに対する対策
VPNの保護6

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ランサム事案の共通点（弱いところが攻撃されている）
脆弱なネットワーク（初期接続）

VPN装置の接続元制限なし、脆弱性情報の未取得と放置、公開された資格情報の悪用

弱いパスワード（PCログイン）

5桁、6桁の単純なパスワード
総当たり攻撃、辞書攻撃を許可

管理者権限の付与（ウイルス対策ソフト停止）

アプリケーションの動作を優先
運用テストの設定が放置？

管理者パスワードが共通（資格情報の解析）

運用を優先

RDP 直接接続(水平展開）

運用を優先

ユーザー権限を管理者権限でなく、標準ユーザーにすれば防御可能であった
7

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Swiss Cheese Model
スイスチーズの穴を失敗や欠陥に見立てた、多層防御の考え方
複数のスイスチーズのスライスを重ねることで、穴が塞がることで安全を確保する

出典：https://www.youtube.com/watch?v=1a7f9wzOfWk

8

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Swiss Cheese Model

脆弱な
弱いパスワード

インターネットからの脅威

システムの脆弱性の放置

管理者
パスワードが共通

管理者権限の悪用

本来機能すべき防御壁に、わざわざ穴を空ける設定や運用が存在している
9

水平展開によるサーバーの暗号化、バックアップの破壊
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

• 原因：プログラムの不具合に起因するもの(開発フェーズ)
対策：脆弱性情報の収集緩和措置の適用
脆弱性修正プログラムの適用

代表的な脆弱性と対策• 原因：設定ミスや後方互換性*に起因するもの(構築フェーズ)
対策：ロックアウト設定などの強化設定 (Hardening) の採用• 原因：ユーザーに過剰な権限を付与(構築・運用フェーズ)
対策：管理者権限の限定的使用
標準ユーザーの使用※脆弱性は病院だけでなく、ベンダーや取引先事業者などのステー
クホルダーに広く存在している可能性があることに留意

セキ
ュ
ア
開発

正
しい
運用

• 原因：弱いパスワード (運用フェーズ)
対策：パスフレーズ、多要素認証、パスワードマネージャの採用
10*古いシステムと新しいシステムが通信できること

例：Windows XP と Windows 7 はSMB
v1 でファイル共有できる
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

実際に攻撃に使用された脆弱性
プロダクツ(2020/01/29~2023/11/16 1,042件)◼ 脆弱性が存在すると…

脆弱性

Windows143

Apple

68

Webサイトを閲覧しただけで感染する
Fileを開いただけで感染する
電子メールの画像をダウンロードしただけで感染する

CISCO

68

◼ その際、管理者権限でログインしていると…

Google Chrome

49

Office36

Oracle34

Apache33◼ インターネット接続があれば…

Office

28

Java

26

◼ カメラやマイクがOnならば…

Acrobat20

LINUX KERNEL

20Android12

Fortinet

11

Trend Micro

10

OS、アプリの設定を変更可能
ウイルス対策ソフトでウイルス自身を除外
パスワード解析ツールで保存されている ID/パスワードを窃取
自動起動を設定し、常駐する
Command & Control サーバーにユーザーや PC の情報を送信
ユーザーが操作していない際に、探索
オンラインバンキング接続の際に偽画面を提供し、ID/PW を窃取
ブラウザに登録された ID/PW を外部に送信◼ 窃取された情報は…

ダークウェブで売買、標的型攻撃に悪用◼ サポート切れソフトウェアは…
すべてのリスクが存在
11

出典：Cybersecurity and Infrastructure Security Agency (CISA)
https://www.cisa.gov/known-exploited-vulnerabilities-catalog
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

11

プログラムの不具合に起因する脆弱性への対策

12

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

脆弱性情報の収集
Japan Vulnerability Notes(JVN)
https://jvn.jp/
JPCERT コーディネーションセンターと独立行政法人情報処理推進機構 (IPA)が共同で運営
PC だけでなく産業機器などの脆弱性も幅広く公表されている

13

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

2023/09/19 JVNVU#90967486:緊急
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品において任意のコードを実行される脆弱性 ①

14

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

142023/09/19 JVNVU#90967486:緊急
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品において任意のコードを実行される脆弱性 ②15

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

15

2023/09/19 JVNVU#90967486:緊急
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品において任意のコードを実行される脆弱性 ③16

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

16

CVSS (Common Vulnerability Scoring System)～脆弱性の深刻度を評価するための指標～
脆弱性の深刻度を同一の基準の下で定量的に比較できるもので、難易度と影響を評価し、10点満点でスコアリングする攻撃の難易度を評価する項目
攻撃元区分 (AV：Attack Vector)
攻撃条件の複雑さ (AC：Attack Complexity)
必要な特権レベル (PR：Privileges Required)
ユーザ関与レベル (UI：User Interaction)
スコープ (S：Scope)

深刻度スコア

緊急9.0～10.0

重要7.0～8.9警告4.0～6.9

注意

0.1～3.9

なし

0

攻撃による影響を評価する項目
機密性への影響(情報漏えいの可能性、C：Confidentiality Impact)
完全性への影響(情報改ざんの可能性、I：Integrity Impact)
可用性への影響(業務停止の可能性、A：Availability Impact)17

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

172023/09/19 JVNVU#90967486:緊急
複数のトレンドマイクロ製企業向けエンドポイントセキュリティ製品において任意のコードを実行される脆弱性 ④

他のシステムやソフトウェアにも影響が出る可能性

18

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

18

対処方法
パッチを適用する開発者が提供する情報をもとにパッチを適用してください。
開発者は本脆弱性の対策として次のパッチをリリースしています。
Apex One 2019 Patch1(b12380)
ウイルスバスタービジネスセキュリティ 10.0 SP1 Patch 2495

ワークアラウンド（緩和策）を実施する
次の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
当該製品の管理コンソールへのアクセスを、信頼できるネットワークからのみに制限する
例えば…
Apex One サーバーのパーソナル Firewall で 特定の IP アドレスからのみ、HTTP/HTTPS 通信を許可する

19

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業19設定ミスや後方互換性に起因する脆弱性対策20

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

Group Policy の活用
Active Directory サーバー

Active Directory もしくはローカルセキュリティポリシーを変更し、強化する

ローカルセキュリティポリシー

21

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

21

ローカル セキュリティ ポリシー コンソール secpol.msc

22

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

22

Windows 強化設定
RaaSクイック対策
https://softwareisac.jp/wp/?p=19876

23

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

自動再生の阻止

24

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

24Administrator の Default
既定値では、Administrator はロックアウトしない
そのため、総当たり攻撃や辞書攻撃が可能となっている
2023年1月にリリースされたセキュリティ更新プログラムKB5020282 がインストールされていると、「管理者のアカウントロックアウトを許可する」が設定可能となる

KB5020282 未適用の場合は、Administrator の使用を停止する以外に緩和策はない

25

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

25

管理者のアカウントロックアウトを許可する

26

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

26

脆弱な医療機器、サポート切れ OS の保護方法

27

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

基本的な考え方
懸念点
CVSS Score の高い脆弱性が存在していると、接続されただけで侵入、特権昇格、設定変更、破壊、機器の危険な動作が起こりえる方針
修正プログラムの適用 もしくは 緩和策を適用する
緩和策
ネットワーク接続の厳格化
HIS系ネットワークとの分離、必要最小限のサーバー、端末とのルーティング、通信ポートの限定

USB接続の厳格化
最新のパターン、エンジンに更新されたウイルス対策ソフト内蔵 USB の専用使用

監視
ルーターでの syslog の取得
28

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

28

ネットワーク接続の厳格化
脆弱な機器、サーバー群

A① 原則、1対1でIPアドレスと使用するポートをルーティングする。
② 異常な通信がないことを確認するた
め Syslog を取得する。
③ 管理系ネットワークのサーバー、PCのパーソナルFirewall で、通信先のIPアドレスと使用するポートを許可し、それ以外は拒否する。

CBルーターCAB

HIS系ネットワーク
10.10.10.0/24

管理系ネットワーク
192.168.100.0/24
syslog サーバー29

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

29

ルーティングで特に注意すべきポート
カテゴリー
リモートアクセス
ファイル転送/ファイル共有
プロセス間通信認証
データベースプロトコル・ポート番号
RDP (3389)、SSH (22)、Telnet (23)
FTP (20、21)、SMB (139、445)
RPC (135)、NetBIOS (137、138、139)、SNMP (161、162)
Kerberos (88、464)、LDAP (389)、LDAPS (636)、
SQL Server (1433)、Oracle (1521)◼ ランサムウェア事案では、大半が RDP を悪用するため、RDPの規定のポートである3389を他のポートに設定することを検討する。（レジストリ設定の場合）◼ 既定では、¥Terminal
Server¥WinStations¥RDP-Tcp というキーは存在していないので、作成する。

Registry Hive

HKEY_LOCAL_MACHINE

Registry PathSystem¥CurrentControlSet¥Control¥Terminal
Server¥WinStations¥RDP-Tcp

Value Name

PortNumberValue TypeREG_DWORD

Value

49152から65535 までのいずれかを指定する（10進)30

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

30

PowerShell による RDP ポートの変更
PowerShell を管理者モードで起動し、以下のコマンドを実行する• $portvalue = 62114• Set-ItemProperty -Path ‘HKLM:¥SYSTEM¥CurrentControlSet¥Control¥Terminal

Server¥WinStations¥RDP-Tcp’ -name “PortNumber” -Value $portvalue(すべて一行）• パーソナル Firewall で「受信の規則」>「リモートデスクトップ」 >「ユーザーモードTCP受信」、「ユーザーモードUDP受信」のローカルポートを例えば 「62114」 に変更する• サーバー名の後ろに “:” を付けて設定したポート番号を指定する

SV01dc01:62114
31

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業31

弱いパスワードに対する対策

32

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

OGMC で攻撃に使用された PW リスト ①
P@ss2020
P@ssw0rdP@ssword
p@ssword
P@SSw0rd
p@ssw0rd
P@ss0wrd
P@ss2021
P@ss2022!qaz@WSx1
admin#DSC2020
admin#DSC
P@ssw0rd123456
P@ssw0rd-!QAz@wsx3
P@ss@1234
admin
Zaq123
Pass@2022
Admin@123!qaz@WSx4
123456
123Abc!
P@ssw0rd@2020
Pass@word

P@SSw0rd2022!
P@ssw0rd0
Password@1234
pa$$w0rdp@ssword01
Pa$$wOrd12!QAZ@wsx!QAZ@WSX3!Qaz@wsx1
Password$1
P@ssw0rd@2019!qaz@Wsx4!QAZ@wsx3
P@ssw0rd1
1q2w3e1q3e2w
Passw0rd5!@12QWqwASas
qwe123QWE!qaz@WSX4
PassworD123!qaz@wsx3
1qazxsw2@22!qaz@wsx
P@$$W0RD
P@ssw0rd@2023

P@ssword1
1q2w3e4r5T
1qaz2wsx!QAZ@Wsx!QAZ@wsx4
Passw0rz
P@ssw0rd123@dmin123!QAZxsw2!QAz@wsx1
P@$$w0rd1
1qaz!@#$!QAZ2wsx!QAZ@Wsx3!qaz@Wsx2!QAZ@Wsx4
abc!@#1234
1q2w3e4rT!@#123admin!Qaz@wsx!password1
Pa$$word
Qwe123!@#!@123qwsazx

33

123456a!
1qaz@WSX
12345678
p@ssword0101
Welcome2020!
Admin@321!Qaz@wsx3
1qazxsw2@20
qwe123!@#
P@ssw0rd123456
admin#DSC2022
admin@321!qaz@WSX1
Password888$
1qazxsw2+
admin@123
123qwe!@#Aa@12356
P@ssword1234!P@ssw0rd
Passw0rd1!QAZ@WSX
P@$$w0rd!qaz@Wsx1!Qaz@wsx2!QAz@wsx4
asd@123!@#
Qwer!23412345
p@ssw0rd!23
Welcome@123
P@ssword123456
P@ssw0rd@2022
P@ssword123
abc123!qaz@wsx1
1q2w3e4rt
P@assw0rd12345
Pass@1234
P@ssw0rd12345
QAZwsx123
123456A@P@ssw0rd1234
P@ssw0rd1234567890
P@sswrdUpdate@12345
Password@123
P@ssw0rd!
!qaz@wsx4
Passw0rd

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

OGMC で攻撃に使用された PW リスト ②!QAz@wsx4
asd@123!@#Qwer!234
12345
p@ssw0rd!23
Welcome@123
P@ssword123456
P@ssw0rd@2022
P@ssword123
abc123!qaz@wsx1
1q2w3e4rt
P@assw0rd12345
Pass@1234
P@ssw0rd12345
QAZwsx123
123456A@
P@ssw0rd1234
P@ssw0rd1234567890
P@sswrdUpdate@12345
Password@123
P@ssw0rd!
!qaz@wsx4
Passw0rdP@ssw0rd1234567
P@ssw0rz
1qaz!QAZ!QAZ@Wsx1
1qaZXsw2
123
Admin#1234!4543435
qazwsx!@#123
MPa$$w0rd
P@ssw0rd12345678!Qaz@wsx4!qaz@Wsx3!@12Qwaszx
Qwer123456!
pass123!
Pa$$w0rd123
P@ssword12345!qaz@wsx4!qaz@WSx3
P@ssw0rd123456789
1qaz5tgb!@#Admin@1234
P@SSw00rd2022!
!QAZ@WSX4

1@#qWEaSD@dm1n1str@t0r
qazw1234!
!qazxsw2
1qazxsw2@21
Password1
1q2w3e4r@@
P@ssw0rd@2021
P@$$w0rd!QAz@wsx2
Q1w2e3r4!
admin#DSC2021!@123QWA
123QWE!@#P@ssw0rd@2018
Abc123!@#Admin123
P@88w0rd
P@SSw0rd1
1qaz@WSX#EDC
P@SSw0rd2022!QAZ@wsx1
PASS@WORD1123abc!
!qaz@Wsx

34

Welcome2021!
P@ssw0rd!QAZ@wsx2
123EWQasd
P@ssword12
APa$$w0rd!QAZ@WSX1
Pa$$w0rd123abc@1qaz@WSX#
Password.123
123456aA!
xyz123!@#!qaz@WSX
123Aa@
p@ssw0rd!2
P@ssw0rd2
Qq123456!qaz@WSx2!QAz@wsx!qaz@WSX3
password!@12Qwsa
1234A@
P@ssw0rd!23

Qwerty1
abcd1234!
1q2w3e4r!
!qaz@WSX2
1234567
P@ssw0rd@2025
Admin@1234
PASS@WORD12
1qazZXC2wsx
P@ssw0rd12
It@12345678
P@ssw0rd!2@dm1n2017
P@SSw00rd2022
Welcome@1@dm1n2016
abc@123
QWE123!@#!QAZ@Wsx2
Welcome2022!
!QAZ@WSX
Pa$$worD
password1!
zaq12wsxZAQ!
Pass@123

1qazxsw2
AS123as23
Pass123!
!QAZ1qaz?
P@ssw0rd@2024
Pass@W0rd
p4ssw0rd!qaz@WSx
admin.1234567!QAZ@WSX2@dm1n2018
Hik12345+!qaz@wsx2
123Qwert
hik12345+
Q1234wer*!Qaz1qaz
P@$$word
admin#DSC2019

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

ベンダーに使用しているパスワードを確認する
2023年3月26日 朝日新聞
電子カルテ構築ベンダーは昨年11月、同じ電子カルテを使う全国280の病院を調査。同様に使い回しが判明した半数以上の病院で、パスワードの変更や他のセキュリティー対策を順次進めている。
ベンダーによると、独自のセキュリティー基準を設けて ID やパスワードをサーバーやパソコンごとに変えるよ
う求める病院もあったが、こうしたところは少ないという。
ベンダーで医療ソリューション事業部門を担当するディレクターは「病院内の閉じられたネットワークという部分を過信してシステムを構築していたのは事実。今後は考え方を改め、抜本的なセキュリティー対策を講じていく」と話した。

確認項目
Built-In Administrator や管理者のパスワードの他病院を含めた使い回しの有無
ルーター、Firewall、VPNの管理者パスワードの使い回しの有無
P@ssw0rd のような安直なパスワードの使用の有無
ベンダー名を含めたIDやパスワードの使用の有無

推奨事項
16桁以上のパスワードの使用を仕様書で提示する

35© 2022 CSAJ/Software ISAC

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

35

パスワードの強度の考え方
8桁複雑では不十分
管理者のPWは、長くすることが重要
パスフレーズを採用する
春#桜富士山haru$sakurafujisan
18桁
春日大社#鹿kasugataisha#shika
18桁
母誕生日四月hahatanjoubishigatsu
20桁

桁数

101キーボードの組み合わせ数

195

29,0253857,375

481,450,625

57,737,809,375

6735,091,890,625

769,833,729,609,375

8

6,634,204,312,890,620

9630,249,409,724,609,000

1059,873,693,923,837,900,000

12

540,360,087,662,637,000,000,000

14

4,876,749,791,155,300,000,000,000,000

1644,012,666,865,176,600,000,000,000,000,000

18397,214,318,458,219,000,000,000,000,000,000,000

20 3,584,859,224,085,420,000,000,000,000,000,000,000,000

36© 2022 CSAJ/Software ISAC

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

36

VPNの保護37© 2022 CSAJ/Software ISAC

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

従来VPNの接続方法（部門サーバー、モダリティの保守）

ワンタイムパスワード

ベンダーA

ベンダーB

Firewall（病院設置）

ベンダーC

ベンダーD

VPN
(ベンダー設置)

VPN(ベンダー設置)

Server/制御PC

Server/制御PC

RDP接続

Server/制御PC

Server/制御PC◼ 課題
ベンダーによって、接続方法が異なり、脆弱性管理、ログ取得のポリシーが不統一
ベンダー管理のVPNの場合、ログ取得に時間がかかり、脆弱性管理もベンダー任せになる

HIS系ネットワーク

38© 2022 CSAJ/Software ISAC

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

38

外部からの VPN 接続の強化の考え方 （部門サーバー、モダリティの保守）

ベンダーA

ベンダーB

◼ 解決策
①HIS系からのRDP接続を禁止②ベンダーからのRDP接続は病院設置のFirewallに統一し、かつ、踏み台サーバーからのみRDP接続を許可③踏み台サーバーでRDP接続ログを取得（いつ、誰が）④脆弱性管理、接続ポリシーを病院がコントロール

接続元
IPアドレス制限
Firewall(病院設置）

踏み台サーバー(病院設置)

管理接続用VLANとHIS系のルーティング禁止

HIS系
ネットワーク

管理接続用
VLAN

Server

RDP接続禁止
39

管理接続用
VLAN

RDPポートの変更とロックアウト設定

Server
踏み台サーバーからのみRDP接続許可
令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

NTT 東日本 - IPA 「シン・テレワークシステム」 の活用
シン・テレワークシステムとはコロナ禍において、2020年4月に IPA と NTT 東日本 が、誰でも簡単に利用できるリモートデスクトップ型のテレワークシステムを無償提供
NTT 東日本 新型コロナウイルス対策プロジェクト 特殊局 & IPA 産業サイバーセキュリティセン
ター サイバー技術研究室

入手先
https://telework.cyber.ipa.go.jp/news/

40© 2022 CSAJ/Software ISAC

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

40

シン・テレワークシステム セキュリティ機能
TLS 1.3 による SSL-VPN 暗号化トンネル
パスワード認証、電子証明書によるPKI認証、RADIUS認証、証明書発行機能
サーバー側ログの syslog 送付が可能
接続元 IP アドレスを制限 (IP アドレスまたはサブネット単位）
多層防御：「コンピュータ ID」、「シン・テレワークシステムのパスワード」、「Windows のログオンパスワード」を要求
二要素認証・スマフォ向けワンタイムパスワード (OTP) 機能
マイナンバーカードを用いたユーザー認証機能
クライアント検疫機能・MAC アドレス認証機能
エンタープライズ環境用ポリシー規制サーバー機能
画面撮影・キャプチャ防止のための電子透かし機能

41

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

41

シン・テレワークシステム設定画面
端末MACアドレス制限

接続元IPアドレス制限

42

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

シン・テレワークシステム 認証方法の選択画面◼ 認証方法パスワード認証
固有証明書認証
署名済み証明書認証
RADIUS認証
NT ドメイン認証43

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

シン・テレワークシステムの自己署名証明書発行画面
自己署名証明書

固有証明書はシンテレワークサーバーから発行でき、かつ、PW設定されたP12形式で保存（秘密鍵と公開鍵が同梱された形式）
証明書使用の際に、事前設定されたPWが必要で秘密鍵はエクスポートできない設定（多要素認証）

万一、証明書を紛失しても、PWが必要、かつ、接続元IPアドレス制限、MACアドレス制限で、他のPCからの接続は不可能となる
一般的に 外部公開する Web サイト等の電子証明書は、Web Trust 取得済みの電子認証局が発行した電子証明書が必要であるが、プライベートな通信での認証には、自己署名証明書で問題はない

44

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

シンテレワークシステムによる VPN 接続の強化（部門サーバー、モダリティの保守）
ベンダーA
シン・テレワークシステム
クライアント＋固有電子証明書① ベンダーは、と特定端末でシンテレワークシステムのクライアントソフトを起動② 固有証明書(p12形式）のパスワードを入力、電子証明書の失効をチェックし、シンテレワークサーバー接続許可、WinUpdateチェック③ シンテレワークサーバーにRDP接続（PW要求）④ ベンダーサーバーにRDP接続（PW要求）

接続元
IPアドレス制限

電子証明書認証、クライアントMACアドレス認証
アンチウイルス及びWindows Update適用検査
シンテレワーク
サーバー(病院設置)

Firewall(病院設置）

管理接続用VLANとHIS系のルーティング禁止

HIS系
ネットワーク

管理接続用
VLAN

RDPポートの変更とロックアウト設定

ベンダーServer※固有電子証明書はシンテレワークサーバーから無償で発行可能

RDP接続禁止45

シンテレワークサーバーからのみRDP接続許可

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

まとめ• Swiss Cheese Model の脆弱性の穴を埋める• 代表的な脆弱性• プログラムの不具合• 設定ミスや後方互換性に起因するもの• ユーザーに過剰な権限を付与• 弱いパスワード• 実際に攻撃に使用された脆弱性• 2020年1月から1,042件存在••••

脆弱性情報の収集と CVSS Score で脆弱性対策を検討する
脆弱な医療機器はネットワーク接続の厳格化で守るベンダーに使用しているPWを確認し、使い回しを禁止する
シンテレワークシステム等で VPN の認証を強化を検討する

46

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業

46

ありがとうございました。
次回は12月21 日(木) 「実践編」
インシデントに備える体制、ログの保護と監視、バックアップ、ネットワークついてお話します。
※本日の講義でご紹介したリンク先は、アンケートに記載しております。
本研修ではリアルタイムでの質問はお受けしておりません。
ご質問のある方は、アンケートにご記入ください。
https://forms.gle/pXpHWwquVRyG7yRA947

令和５年度医療情報セキュリティ研修 及び サイバーセキュリティインシデント発生時初動対応支援・調査等事業